O pitch
A equipe de segurança do kernel Linux prioriza commits públicos imediatos em vez da coordenação com os distribuidores, o que cria um “atraso de segurança” sistêmico para as principais distribuições. Essa política garante que as correções cheguem rapidamente às árvores públicas, mas deixa os usuários de Ubuntu, RHEL e Gentoo expostos a exploits públicos durante dias antes da chegada dos patches oficiais.
Por dentro
O atrito atual vem da recusa do kernel em oferecer acesso antecipado exclusivo às correções de segurança (Source: kernel.org). Essa filosofia foi testada recentemente pela CVE-2026-31431, apelidada de “Copy Fail”, uma falha de escalonamento local de privilégios com CVSS 7.8 no módulo algif_aead, presente desde 2017 (SentinelOne, Theori).
A Theori descobriu a vulnerabilidade com o “Xint Code”, um scanner com IA, que identificou a primitiva de corrupção de memória em cerca de sessenta minutos de varredura (Bugcrowd, Theori). Os mantenedores da linha principal fizeram o commit de uma correção em 1º de abril de 2026, mas não avisaram os mantenedores das distribuições pela lista de e-mails padrão 'linux-distros' (Openwall, Sam James).
Em 29 de abril de 2026, foi publicado um exploit PoC em Python de 732 bytes, que oferece um caminho funcional para escapes de contêiner em ambientes de kernel compartilhado (CERT-EU, Theori). Nessa data, várias das principais distribuições ainda não tinham publicado atualizações de segurança oficiais em seus canais estáveis (Help Net Security).
Hoje, as equipes de produção têm duas opções principais de mitigação:
- Implantar uma sonda eBPF desenvolvida pela comunidade para bloquear a primitiva de exploração (Dabbleam/CVE-2026-31431-mitigation).
- Desativar completamente o subsistema de criptografia AF_ALG, desde que nenhum serviço local dependa da interface de espaço de usuário.
Ainda não sabemos se os protestos públicos de mantenedores como Sam James vão forçar uma reestruturação do processo de notificação 'linux-distros'. Além disso, embora discussões no Hacker News sugiram que certas pressões jurídicas ou governamentais influenciam essa postura de “não notificação”, essas alegações continuam sem verificação (HN).
Nossa opinião
O protocolo de segurança do kernel Linux está fundamentalmente descompassado com a velocidade das ferramentas ofensivas modernas com IA. Esperar que os mantenedores das distribuições monitorem cada commit da linha principal em busca de correções de segurança silenciosas é uma fantasia que abre uma janela de vários dias para escapes de contêiner triviais. Se você roda cargas de trabalho multi-tenant em kernels compartilhados, não pode depender apenas do ciclo de patches da sua distribuição: implemente a mitigação eBPF ou desative o módulo algif_aead imediatamente.